时间戳

首页 > 解决方案 > 有没有办法阻止特使添加特定的标头？

kubernetes - 有没有办法阻止特使添加特定的标头？

问题描述

根据此处的文档https://www.envoyproxy.io/docs/envoy/latest/configuration/http/http_conn_man/headers#x-forwarded-proto 特使代理将标头添加X-Forwarded-Proto到请求中，由于某种原因标头值为错误的; 它将它设置为http尽管传入的请求方案会https导致我的应用程序代码出现一些问题，因为它取决于此标头的正确值。

这是特使的错误吗？我可以阻止特使这样做吗？

标签： kubernetesistioenvoyproxy

解决方案

正如我在评论中提到的那样，有相关的github 问题。

有没有办法阻止特使添加特定的标头？

有 istio dev @howardjohn对此发表评论

我们目前有两种选择：

不会有第三个；相反，我们将推广 alpha API。

所以第一个选择是特使过滤器。

在上面的github问题中有2个答案。

@jh-sz 提供的答案

一般来说，当 Envoy 部署为边缘节点（也称为前端代理）时，use_remote_address 应设置为 true，而当 Envoy 用作网格部署中的内部服务节点时，可能需要设置为 false。

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: xff-trust-hops
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
  - applyTo: NETWORK_FILTER
    match:
      context: ANY
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
    patch:
      operation: MERGE
      value:
        typed_config:
          "@type": "type.googleapis.com/envoy.config.filter.network.http_connection_manager.v2.HttpConnectionManager"
          use_remote_address: true
          xff_num_trusted_hops: 1

和

@vadimi提供的答案

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: my-app-filter
spec:
  workloadLabels:
    app: my-app
  filters:
  - listenerMatch:
      portNumber: 5120
      listenerType: SIDECAR_INBOUND
    filterName: envoy.lua
    filterType: HTTP
    filterConfig:
      inlineCode: |
        function envoy_on_request(request_handle)
          request_handle:headers():replace("x-forwarded-proto", "https")
        end
        function envoy_on_response(response_handle)
        end

第二个选项是 Alpha api，这个功能正在积极开发中，被认为是 pre-alpha。

Istio 提供了管理X-Forwarded-For (XFF) 和X-Forwarded-Client-Cert (XFCC) 等设置的能力，这些设置取决于网关工作负载的部署方式。这是目前正在开发的功能。有关 X-Forwarded-For 的更多信息，请参阅 IETF 的RFC。

您可以选择在各种网络拓扑中部署 Istio 入口网关（例如，在云负载均衡器、自我管理的负载均衡器后面或直接将 Istio 入口网关公开到 Internet）。因此，这些拓扑需要不同的入口网关配置，以便将 IP 地址和证书等正确的客户端属性传输到集群中运行的工作负载。

XFF 和 XFCC 标头的配置在 Istio 安装期间通过 MeshConfig 或通过添加 pod 注释进行管理。请注意，Meshconfig 配置是所有网关工作负载的全局设置，而 pod 注释会覆盖每个工作负载的全局设置。

推荐阅读